ТехноСводка

Безопасность

НКЦКИ потребовал срочно закрыть критические уязвимости PHP2Shell

Центр при ФСБ обязал операторов критической инфраструктуры обновить PHP или ограничить доступ к серверам из-за двух уязвимостей с оценкой 9,2 по CVSS 4.0.

Как сообщил РБК, письмо НКЦКИ разослано через ГосСОПКА. Если обновиться быстро нельзя, организациям предписано рассмотреть ограничение внешнего доступа к серверам вплоть до отключения, а также проверить их антивирусом и изучить журналы на признаки взлома.

Уязвимости CVE-2026-109618 и CVE-2026-109619 (PHP2Shell) при определённых условиях позволяют выполнить код на сервере без авторизации. Одна связана с повреждением состояния при нехватке памяти, другая — с использованием данных после освобождения памяти. По данным OpenAI, их нашли ИИ-модели в рамках инициативы Patch the Planet, а подготовка исправлений заняла около двух месяцев и потребовала согласования с PHP, Calif, Wiz, Cloudflare, CISA и Белым домом. Исправления вышли 21 октября в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12; OpenAI выложила на GitHub инструмент php2shell-checker. Мейнтейнер репозиториев для Debian и Ubuntu Ондржей Сура выпустил патчи для 12 веток, включая неподдерживаемые, но разработчики PHP называют такие бэкпорты лишь минимальной мерой.

По данным Хабра со ссылкой на Reuters, в ряде стран превентивно отключали госпорталы и сервисы компаний, а Cloudflare зафиксировала рост попыток эксплуатации с тысяч до миллионов. Уязвим сам интерпретатор, поэтому обновление CMS проблему не решает. По W3Techs, PHP используют около 69,3% сайтов в мире.

  • Оценка обеих уязвимостей — 9,2 по CVSS 4.0
  • Исправления: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12
  • PHP используют около 69,3% сайтов в мире (W3Techs)

Источники

Текст подготовлен автоматически по материалам источников и может содержать неточности.